위탁수탁

회사가 서버가 해외에 있는 생성형 AI에 업무 문서를 넣으면 그 안의 개인정보는 국외로 이전됩니다. 흔히 근거로 적는 개인정보 보호법 제28조의8 제1항 제3호는 「정보주체와의 계약의 체결 및 이행을 위하여」 필요한 처리위탁·보관을 요건으로 합니다. 소송 상대방 회사의 대표·담당자는 회사와 계약한 개인이 아니고, 회사가 자기 영업 분석에 쓰는 고객사의 고객 정보는 연결할 계약 이행을 찾기 어렵습니다. 개인정보위 실무는 계약한 이용자가 있는 서비스에서 제3호를 적용해 왔지만, 계약 당사자가 아닌 사람의 정보에도 이 호가 서는지를 직접 다룬 공식 문서는 확인 범위에서 찾지 못했습니다. 회사가 고객사의 수탁자로서 처리하는 경우는 따로 따져야 합니다.

병원의 업무만 병원의 지시·감독 아래 처리하는 병원 연계 데이터 사업자는 개인정보 보호법 제26조의 수탁자로 볼 여지가 큽니다. 다만 같은 앱에서 자기 회원 서비스나 자사 상품 홍보를 함께 하면, 병원 몫 정보를 그 용도로 쓰는 순간 제26조 제5항의 목적 외 이용이 되고 구조 전체가 제3자 제공으로 판단될 위험도 생깁니다. 지위를 회사 단위가 아니라 데이터 흐름 단위로 나누어야 하는 이유와, 병원(위탁자)과 사업자(수탁자)가 각각 갖출 문서·공개·동의를 정리했습니다.

고객사 수백 곳의 개인정보를 처리하는 B2B SaaS가 고객사마다 위수탁 계약서를 따로 맺지 않아도 되는지 정리했습니다. 개인정보위 안내서는 수탁자 서비스를 이용하는 형태의 위탁이면 약관으로 계약할 수 있다고 보지만, 법 제26조 제1항과 시행령 제28조 제1항의 기재 사항이 모두 들어가야 합니다. 재위탁 동의는 범위와 절차를 미리 정해 약관에 둘 수 있고, 재수탁자 목록은 수탁자 처리방침 링크로 공개하는 방식이 안내돼 있습니다. 고객사가 위탁 사실을 공개하지 않은 데 따른 과태료는 위탁자 몫입니다.

가상 사례입니다. 외부 벤더가 공급한 고객상담 AI 에이전트가 상담 창에 입력된 지시문(프롬프트 인젝션)에 따라 고객 주문 정보를 외부 주소로 보낸 사고를 발견부터 72시간까지 시간순으로 따라갑니다. 인지 시점, 유출 가능성 통지, 시행령 제40조 제1항 제3호의 「외부로부터의 불법적인 접근」 해당 여부, 정보통신망법의 24시간 신고, 벤더의 수탁자 지위, 회수·삭제 단서, 통지 문안과 기록에서 회사가 고를 수 있었던 선택지와 그때 남는 기록을 표로 정리했습니다. 프롬프트 인젝션이 제3호에 해당하는지에 관한 개인정보위의 공개 해석은 2026년 10월 15일 기준 확인하지 못했고, 해당한다고 볼 근거와 아니라고 볼 근거가 함께 있습니다.

그룹 계열사끼리 맡긴 고객 상담 업무도 개인정보 보호법 제26조의 위탁입니다. 개인정보보호위원회는 2026년 5월 13일 보람상조 계열 사건에서 시스템 운영사와 별도로, 상담 업무를 맡긴 계열 6개사를 각자 피심인으로 삼아 제26조 제4항·제2항 위반을 인정하고 시정명령과 공표명령을 내렸습니다. 수탁자와 한 조직처럼 운영했다는 사정은 위반을 지우지 못하고 과실 평가를 낮추는 데에만 반영됐으며, 과징금이 세 곳에만 부과된 이유는 위반 내용이 아니라 산정 금액의 크기였습니다.

올해 말 예고된 「(가칭)에이전틱 인공지능 개인정보 처리 안내서」에서 확인할 지위·책임, 승인, 권한, 로그·메모리 질문을 정리합니다. 스페인·홍콩의 기준과 채택 전 유럽평의회 초안을 한국 조문에 대조하고, 발간일에 실제 답변을 기록할 표를 마련했습니다.

개인정보 유출 사고에서 회사가 받는 조정안에는 회신 기한이 15일입니다. 개인정보 보호법 제47조 제3항과 소비자기본법 제67조 제2항이 모두 15일 안에 의사표시가 없으면 수락한 것으로 본다고 정하고, 수락하거나 수락한 것으로 보는 경우 그 내용은 재판상 화해와 같은 효력을 갖습니다. 그리고 같은 유출 사고에 조정안은 개인정보 분쟁조정위원회와 한국소비자원 소비자분쟁조정위원회 두 곳에서 각각 옵니다. 2026년 9월 11일부터 유출 통지문에 손해배상과 분쟁조정을 신청하는 방법까지 적어야 합니다.

개인정보보호위원회가 공개한 제재 의결서에서 유출 경위가 기재된 204건을 경위별로 분류했습니다. 여덟 유형이 나왔고, 과징금 부과율은 유형에 따라 0%에서 69%까지 갈립니다. 담당자가 파일을 잘못 올리거나 메일을 잘못 보낸 48건에서 과징금이 나온 것은 10건뿐이고, 그 10건은 전부 주민등록번호가 새어 나간 사건입니다. 오게시·오발송 자체가 과징금을 부르는 것이 아니라 새어 나간 항목이 무엇이었는지가 가릅니다.

글로벌 DPA 서명만으로 국외이전 준비는 끝나지 않습니다. DPA의 processor 표기만으로 한국법상 지위와 의무가 정해지지는 않으며, 수탁자는 제26조 제8항에 따라 개인정보처리자의 의무 대부분을 그대로 부담합니다. 이전 근거(제28조의8 제1항)와 별개로, 같은 조 제4항과 시행령 제29조의10 제2항은 보호조치를 이전받는 자와 미리 협의해 계약에 반영하라고 요구합니다. 외국계 한국법인 법무·CPO와 본사 DPO를 위한 정리입니다.

국외이전의 근거를 처리방침에 적을 때 도구마다 적을 수 있는 근거가 다릅니다. 법 제28조의8 제1항 제3호는 '처리위탁·보관'만 대상으로 하고 '제공'은 빠져 있기 때문입니다. 광고 플랫폼 픽셀을 위탁 표에 올려 두었다면 근거가 비어 있을 수 있습니다. 위탁으로 정리된 구글 애널리틱스류 분석 도구도 제3호의 '계약 이행에 필요한'이 벤더가 아니라 정보주체와의 계약을 가리키므로, 서비스 개선 목적의 행동 분석은 제1호의 별도 동의가 필요할 수 있습니다.